Zero Trust Architecture (NIST SP 800-207)（ゼロトラスト）
NIST 2020年8月公開のZero Trust セキュリティアーキ標準。「Never trust, always verify」原則、Microsoft / Google / 政府機関で展開、現代エンタープライズセキュリティの基盤。
概要
Zero Trust Architecture (ZTA) はNIST (米国立標準技術研究所) が2020年8月にSP 800-207 として標準化したセキュリティアーキテクチャ。John Kindervag (元Forrester) が2010年に提唱した「Zero Trust」概念を政府機関標準として整理、「Never trust, always verify」(決して信用しない・常に検証する) を原則、伝統的「Castle and Moat」(内部ネットワーク信頼前提) を廃止、全リクエストを認証 / 認可 / 暗号化する。Microsoft / Google BeyondCorp (2014-) / 米連邦政府 (2021年バイデン大統領令) で実装、現代エンタープライズセキュリティの基盤。
Zero Trust 主要原則
NIST SP 800-207 の7原則:
- All data sources and services are resources: データ / サービスを全て保護対象
- All communication is secured regardless of network location: 全通信暗号化 (社内も)
- Access to individual enterprise resources is granted on a per-session basis: セッション毎認可
- Access to resources is determined by dynamic policy: 動的ポリシー判定
- The enterprise monitors and measures the integrity and security posture: 継続的監視
- All resource authentication and authorization are dynamic and strictly enforced: 動的認証 / 認可
- The enterprise collects information about the current state: 状態情報収集
Castle and Moat vs Zero Trust
| 項目 | Castle and Moat | Zero Trust |
|---|---|---|
| 設計年代 | 1990-2010 | 2010-現在 |
| 前提 | 内部ネットワーク信頼 | 全要求検証 |
| 保護対象 | 境界 (Firewall / VPN) | 各リソース |
| Lateral Movement | 容易 (一旦侵入後) | 困難 |
| BYOD / リモートワーク | 困難 | 容易 |
| クラウド対応 | 困難 (NPN必要) | ネイティブ |
| MFA | オプション | 必須 |
| ログ | 分散 | 中央 |
Zero Trust の主要コンポーネント
| コンポーネント | 役割 |
|---|---|
| Policy Decision Point (PDP) | アクセス可否判定 |
| Policy Enforcement Point (PEP) | アクセス実施制御 |
| Identity Provider (IdP) | ユーザ認証 |
| Device Trust | デバイス健全性検証 |
| Continuous Authentication | 継続的認証 |
| Microsegmentation | ネットワーク細分化 |
| Encryption (mTLS等) | 全通信暗号化 |
| SIEM / SOAR | ログ / 自動応答 |
ZTA 実装フレームワーク
Google BeyondCorp (2014-)
Google 内部の Zero Trust 実装事例:
- 2009年「Operation Aurora」中国APT 攻撃を受けて移行開始
- 2014年BeyondCorp 公開 (論文)
- VPN 完全廃止
- 全社員Chromebook + YubiKey
- Context-Aware Access (場所 / デバイス / 時間で判定)
Microsoft Zero Trust
Microsoft Entra ID + Conditional Access:
- Microsoft 365 Defender 統合
- Identity / Device / Apps / Data / Infrastructure / Network の6柱
- Azure AD + Defender + Endpoint + Cloud Apps
米連邦政府 (2021-05 バイデン大統領令)
「Improving the Nation's Cybersecurity」(EO 14028)・2024年9月までに全連邦機関ZTA 移行義務:
- NIST SP 800-207 ベース
- CISA Zero Trust Maturity Model
- M-22-09 (OMB) で具体的目標
ZT 実装製品
| カテゴリ | 製品 |
|---|---|
| ZTNA (Zero Trust Network Access) | Cloudflare Access / Zscaler / Palo Alto Prisma |
| SASE (Secure Access Service Edge) | Cisco SASE / Cato Networks |
| Identity | Microsoft Entra ID / Okta / Ping |
| Endpoint | CrowdStrike / SentinelOne / Microsoft Defender |
| Microsegmentation | Illumio / Guardicore / VMware NSX |
| SIEM | Splunk / Microsoft Sentinel / Datadog |
ZTA 移行の段階
| Phase | 内容 |
|---|---|
| 1. Identity | MFA / SSO 必須化 |
| 2. Device | デバイス健全性 / 管理 |
| 3. Network | Microsegmentation |
| 4. Applications | アプリ別認可 |
| 5. Data | 分類 / 暗号化 |
| 6. Visibility | 監視 / 分析 |
| 7. Automation | 自動応答 |
CISA Zero Trust Maturity Model はTraditional / Initial / Advanced / Optimal の4段階で進捗評価。
関連用語との違い
- vs VPN: 境界 / 全要求検証
- vs Firewall: ネットワーク境界 / リソース別認可
- vs SSO: 認証統合 / 全体アーキ
- vs SASE: ZTNA + Networking 統合・SASE はZT実装の一形態
FAQ
Q1: ZT 移行に何年? A: 大企業 3-5年・中規模 1-2年・小規模 6ヶ月-1年。米連邦政府は2021-2024年で3年間で全移行。
Q2: ZT は完全な対策? A: 「銀の弾丸ではない」が現代セキュリティの基本・パッチ / 教育 / 監視 / 暗号化 / 物理セキュリティ 等の組合せが必要。
Q3: 個人利用? A: 個人ではZT 直接実装は困難だがコンセプト適用可: MFA 必須化 / YubiKey / Bitwarden / Signal / VPN / Encrypted DNS など組合せでZT 的セキュリティ確保。